CVE-2026-100364 in SuiteCRM
Riassunto
di VulDB • 06/11/2026
SuiteCRM è un'applicazione software di Customer Relationship Management (CRM) open-source e pronta per l'uso aziendale. Prima delle versioni 7.15.2 e 8.10.2, il percorso di aggiornamento dell'API JSON:V8 non rimuoveva l'attributo `id` prima di assegnare gli attributi forniti dall'utente a un SugarBean. Il flusso interessato inizia con la funzione `updateRecord()` e utilizza `processAttributes()`, `id` e `ACL_ALLOW_OWNER` per introdurre dati controllati dall'attaccante o lo stato di autorizzazione in un'operazione sensibile alla sicurezza. Un utente autenticato può sostituire l'identificatore del record della vittima, eludere l'autorizzazione limitata al proprietario, sovrascrivere un altro record e assumere la proprietà del record. Questo problema è risolto nelle versioni 7.15.2 e 8.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.